CVE-2026-10645

Zephyr ext2 fayl sistemi sürücüsü (subsys/fs/ext2) kataloq blokunu gəzərkən diskdəki de_rec_len və de_name_len kataloq girişi sahələrinə etibar edirdi. ext2_fetch_direntry() yalnız de_name_len > EXT2_MAX_FILE_NAME şərti ilə qorunurdu, lakin de_name_len uint8_t tipindədir və EXT2_MAX_FILE_NAME 255-dir, buna görə yoxlama həmişə yalan nəticə verir; sonra funksiya 255-ə qədər ad baytını memcpy ilə kopyalayırdı və axtarış/readdir yolları gəzintini yoxlanılmamış de_rec_len ilə irəlilədirdi. Hər kataloq bloku block_size ölçülü slab buferinə oxunur və block_off əvvəlki girişlərin rec_len-i ilə blokun sonuna yaxınlaşdırıla bilər, buna görə 8 baytlıq başlığın oxunması və sonrakı ad memcpy əməliyyatı blok buferinin sonundan təxminən 263 bayt kənara, bitişik heap/slab yaddaşına oxuya bilər. readdir yolunda bu baytlar fs_dirent.name daxilində çağırana qaytarılır və bitişik kernel heap yaddaşını sızdırır; de_rec_len-in 0 olması həmçinin sıfır irəliləyişli sonsuz dövrəyə (xidmətdən imtina) səbəb olur və unlink yolundakı yoxlanılmamış qeydlər üzərində memmove(de, next, next_reclen) əlavə OOB oxuma/yazma mənbəyidir. Qüsur mount edilmiş ext2 həcmində hər hansı yol əsaslı əməliyyat (open, stat, unlink, rename, mkdir) və ya kataloq siyahılaşdırması ilə əldə edilir, buna görə hücumçunun təqdim etdiyi yaddaşda (SD kart, USB kütləvi yaddaş və ya başqa şəkildə mount edilmiş obraz) hazırlanmış və ya zədələnmiş ext2 obrazı onu işə salır. Təsirlənən: Zephyr ext2 v3.5.0-da təqdim edildiyi andan v4.4.0-a qədər. Düzəliş parserdə rec_len və name_len-i yoxlayır və başlığı qalan bloka sığmayan və ya rec_len-i blok sərhədini keçən girişləri hər gəzinti çağıranında rədd edir.